Ver el código de «APT36»

APT36, también conocido como Transparent Tribe, es un grupo de ciberespionaje de origen pakistaní activo desde al menos 2013 . Su enfoque principal ha sido históricamente el gobierno, las fuerzas de defensa, las instituciones educativas y las entidades diplomáticas de la India y Afganistán, aunque se ha observado una reciente expansión de sus objetivos para incluir el ecosistema de startups indio, particularmente aquellas vinculadas a la ciberseguridad y la inteligencia de fuentes abiertas (OSINT) . Se le considera un grupo patrocinado por el estado, alineado con los intereses estratégicos y militares de Pakistán .

El grupo es conocido por su adaptabilidad y por mantener un arsenal de malware en constante evolución, utilizando principalmente troyanos de acceso remoto (RATs) como Crimson RAT, Geta RAT, Ares RAT y Desk RAT, entre otros . Sus campañas suelen iniciarse con correos de spear-phishing que contienen archivos adjuntos maliciosos, como archivos ZIP, imágenes ISO o accesos directos de Windows (LNK) disfrazados de documentos legítimos . Una vez que la víctima interactúa con el señuelo, se despliega una cadena de infección que a menudo abusa de herramientas legítimas del sistema (como <code>mshta.exe</code>) para ejecutar el payload final en memoria y así evadir la detección .

En sus operaciones más recientes, APT36 ha modernizado sus tácticas para incluir malware multiplataforma escrito en lenguajes como Python, Golang y Rust, lo que le permite atacar tanto sistemas Windows como Linux . También se ha observado que utiliza inteligencia artificial (IA) para generar un gran volumen de variantes de malware en lenguajes de programación exóticos (Nim, Zig, Crystal), una táctica denominada "vibeware" que busca saturar las defensas y evadir la detección basada en firmas . Además, para ocultar su actividad, el grupo abusa de servicios en la nube legítimos como Google Drive, Discord o Slack para el alojamiento de malware y la comunicación con servidores de comando y control